株式会社 ベルシステム24ホールディングスの監査部 余郷 雅巳様、高橋 文博様に、ICAEA JAPANの代表理事弓塲がCAATsを導入された経緯や活用方法、当協会に対する期待などを伺いました。

 
 余郷 雅巳様
 株式会社ベルシステム24ホールディングス
 監査部 部長
 【略歴】
 2004年4月株式会社ベルシステム24に入社し法務部門に配属。
 2008年9月に法務・コンプライアンス部長、2011年より監査部長。

 
 高橋 文博様
 株式会社ベルシステム24ホールディングス
 監査部　マネージャー
 【略歴】
 2004年2月株式会社ベルシステム24に入社。
 2014年9月監査部配属、2016年3月より現職。
 国際認定CAATs技術者（ICCP）、システム監査技術者、内部監査士。
 

—CAATsの利用についての今後の課題

弓塲：CAATsを利用されることで、明確に効果が見えているということですが、今、敢えて課題があるとしたら、どういったところにあるとお考えでしょうか。

余郷様：最近の働き方改革の一環ですが、ノートパソコンを貸与されている社員は、許可があれば社外で仕事ができるようにすることで、利便性を高めています。先ほどの勤怠ログと入退室ログの突合というのは、社内で仕事をしているということが大前提になります。しかし、現状は、我々間接業務に従事する社員も含め、自宅や、お客様のところでも仕事ができる環境になってきており、それをある意味推奨している部分もあります。従いまして、単純に勤怠ログと入退室ログの突合だけでは、サービス残業の懸念状況を確認することができない時代に入っています。
 
そこで今後は、勤怠データと各社員のPC操作ログを突合することでサービス残業に関する懸念情報を共有できる仕組みを作っていくことにしています。すでにテストを始めておりますが、今後は全社的な規模で、情報共有をしていきます。いずれにしましても、このような手法を取り入れなければ正しく労働時間の把握ができなくなってきている状況にありますね。

弓塲：入退室ログとPCの操作ログでは、ログ件数はPCの操作ログのほうがはるかに多くなるように思いますが。

余郷様：そうですね、データ量としては飛躍的に増えるようです。そのためにはデータ量に耐えうるサーバーの容量が必要ですので、CAATsツール（※1）を安定稼働するために1千万円規模の投資を行い、サーバーのリプレイスを実施しているところです。

弓塲：今、仰ったのは、働き方が変わっていく中で、入退室ログだけでは労働時間を捉えきれなくなったため、一番確実なPCの操作ログを分析対象にしていく。この場合はデータ件数が飛躍的に増えてしまうため、サーバーの増強をして内部監査の環境を整備したということでしょうか。

余郷様：そうですね。

弓塲：素晴らしいですね。

高橋様：実は当局による他社への査察の際にも、勤怠の打刻データと入退室データ、そしてPC端末の利用状況3点をセットで提出するよう指示されるケースが多いのです。弊社としても、当局の目線に合わせるという意味では、PCの操作ログまで分析対象にすることで、ようやく完成形に近くなるのではないかと思っています。

余郷様：我々監査部は社長直下の組織でもありますので、いかに社長が善管注意義務違反に問われないような経営体制を作っていくのかという点も、重要なポイントだと考えております。
 
今、高橋も申し上げたように、当局がPCの操作ログの提出も求めるということは、裏を返すと、端末の利用状況も含めて管理をすることも、会社として求められている取組みになると理解しています。
 
逆に、このような管理をしておらず、もし問題が起きた時には、会社としてやるべきことをやっていないという責任の問われ方をされる可能性もありますので、そういったところにも配慮しながら、全社レベルで情報共有できるような仕組みを作っていこうとしています。

弓塲：勤怠ログと入退室ログの収集は比較的容易にできるのではないかと思いますが、PCの操作ログを取得するためには、新たな仕組みを入れないといけないため、相応の投資が必要になりますね。

高橋様：余郷も申し上げた通り、まずは、サーバーリプレイスにより、PC操作ログも含めた分析に必要な環境が出来上がります。CAATSツール（※1）の非常に良いところは、投入できるログの数に制限がないことです。PCの操作ログは単月で5ギガバイト程度になると想定しております。

弓塲：そんなにあるのですか。

高橋様：はい。その5ギガバイトの操作ログから、どのような基準で懸念のあるレコードを抽出するか、ここが非常に重要だと思っています。まずは打刻時間との乖離を確認しますが、さらに、退勤打刻後のＰＣ操作ログが1時間以上発生しているなど、一定のしきい値を設けてデータを抽出し詳細分析をするという方法を考えています。

弓塲：つまり、5ギガバイトのデータを最初はざっと全般分析して、しきい値あるいは条件を決めていくということですね。

高橋様：そうですね、今、まさにチューニング作業をしているという状況ですね。

—なぜCAATsを導入したのか

弓塲：本当に先進的な使い方をしているのだと思いますが、今、CAATsを使って監査されている対象としては、労務監査だけでしょうか。

余郷様：モニタリングという観点からは、労務の領域以外では、売上や経費の計上、Ｐ/Ｌの異常値の分析といった領域にも使っております。

弓塲：そうですか。比重的にはやはり、労務監査が大きいのでしょうか。

余郷様：今のところはそうですね。一方で会計面での積極的な活用も視野に入れております。当社には2,000件程度のJOBが日々運用されておりますが、それらのJOBに関する売上や利益（原価）の増減を月次単位で分析しており、異常値が確認された場合、例えば前年の平均値から20%以上売上が変動したり、原価は変わっていないのに売上が増加するなど不正な売上計上が懸念されるJOBを自動的に抽出できるような仕組みを作りました。

弓塲：それは、CAATsツール（※1）で作られたのですか。

余郷様：はい、CAATsツール（※1）で作りました。

高橋様：関連したところでは、昨今、様々な製造業で品質偽装が発生していますが、弊社においてそのような事象が発生しないようコールの品質における、応答率や対話率といったKPIで測れるようなものは、いずれはCAATsツール（※1）を活用してモニタリングをしていきたいという構想があります。

余郷様：今、高橋が申し上げた各ジョブに関連する様々なデータは、お客様への請求金額につながる請求データの元になっています。
 
今は正しいデータが請求書に反映されているという前提でJSOXの評価はしていますが、本当にそうなのかというところはもう少し厳密に見ていく必要があるのではないかと感じています。この領域にCAATsツール（※1）を活用することで、突破口になればと考えています。

弓塲：お聞きしていて感じたのですが、CAATsツール（※1）を入れることにより大量のデータ分析が比較的容易にできるということから、様々な経営課題を解決していくためのアイディアがどんどん湧いてきているというイメージを持ったのですが、いかがでしょうか。

余郷様：そうですね、高橋マネージャーを中心に、若手社員が前向きに活発なディスカッションをしてくれており、様々なアイディアが出てきていると思っています。今後は出張旅費の架空請求など、経費支出の領域でもモニタリングを強化して不正行為に対する一定の抑止効果を図っていきたいと考えております。

高橋様：その「抑止効果」の先には、従業員を守るという意味があると思いっています。弊社は人が資産なので、従業員が安心して働ける環境の向上を目指すためにも、CAATsツール（※1）の有効活用に励んでいます。

弓塲：素晴らしいですね。

—ICCP試験対策講座を受講していただいた理由と役に立ったこと

弓塲：あと何点かお聞きしたいのですが、非常に先進的にCAATSツール（※1）を使われているので、もうCAATsツール（※1）の勉強はしなくてもよいのではないかと思うのですが。

余郷様、高橋様：いやいや（笑）。

弓塲：今回、高橋様にICCP試験対策講座を受講していただきましたが、どうして受講されようと思ったのですか。

高橋様：まず、ナレッジはどうしても属人化しやすいと感じていて、部門の中で私が率先してCAATsについて体系的に学んでいくことで、部内でシェアが図れることを期待しておりました。
 
もう1つは、ICCP有資格者というステータスを得ることで、監査部としてのブランド構築、ひいては会社としての評価やブランドの向上に貢献できること、大きくその2つが貴協会の研修を受講しようと思った理由でした。

余郷様：我々監査部の能力は、なかなか数値のようなもので客観的に表せる領域ではありません。その意味で、どのような資格を持っているかは大事な部分だと思っています。

弓塲：ありがとうございます。貴社の監査部のブランド構築のお役に立てるよう、ICCPを始め、CAATs監査士の資格が社会に認知されるように私どもも努めてまいります。実際に研修を受けていただいて、ご感想はいかがでしたか。
 
今後の参考にさせていただきたいため、耳に痛いことでも結構です！

高橋様：CAATsツール（※1）を使っているとしても、私のようなプレイングマネージャーとCAATsツールを専属的に利用している方を比較した場合、研修カリキュラムが同じなのでどうしても理解・吸収のスピードに差が生じてしまうと感じました。もし専属で利用していないような方であれば、私も受講済みですが、エージーテックさん(※2)にて実施しているACLの基礎講座を受講してからICCP試験対策講座を受講することでスムーズな理解・吸収さらにはICCP試験の合格が可能になるのではと感じました。

弓塲：貴重なご意見として、参考にさせていただきます。研修が終わってから、課題を3回、提出していただきましたが、やはり専門的な部分が色濃いということもありまして、課題の内容を将来的に改善していこうと考えています。また、研修を受けていただいて、いろいろな課題にチャレンジしていただいていると思いますが、特に参考になっていることはありますか。

高橋様：スクリプトですね。今まさに目の前の課題として取り組んでいるのが、サーバーリプレイスに伴うスクリプト修正です。サーバーリプレイスをすることで、取り込むデータの形式が変更となることが判明しました。そのため、今回の研修や課題で学んだスクリプトの知識は大変役に立ちました。

弓塲：ありがとうございます。私も20年来CAATsに取り組んでいますが、スクリプトの良さというのは、なかなか人に伝わっていないのですね。それが伝わったのであれば、本当に良かったと思います。

—CAATsまたはICAEA JAPANに期待すること

弓塲：また、今後、CAATsまたはICAEA JAPANへの期待がおありだと思うのですが、差し支えない範囲でお聞かせいただければと思います。

余郷様：もともと監査ではサンプリング調査が主流でしたし、我々の監査部門でも、以前はヒアリングを重視しておりました。しかしながら、ヒアリング能力は人によってスキルに大きな差が出ますし、業務品質にもバラツキ出てしまいます。
 
そういった意味で、CAATsツール（※1）を活用することにより、監査業務の標準化も図ることができると思っています。
 
将来的にはAIの導入も重要なテーマになっていくものと考えておりますしRPAの活用については今期から具体的に検討を始めているところです。あとは、監査のイメージを変えていきたいと思っていますね。いまでも伝票類や台帳類をひっくり返して、重箱の隅をつついているようなイメージを持っている人がまだまだ多いと思うのですが、そうではなくて、「最新のテクロジーを使ったいわゆるデジタライゼーションで監査業務の変革を図っているのだ！」ということを社内にしっかり広めて、多くの社員に監査の現状を理解してもらい、ひいては優秀な人材の確保も含めて、PRしていきたいと思っています。

弓塲：ありがとうございます。時代の変化に合わせて監査を改革するぞ！という意気込みを感じました。
 
最後になりますが、ICAEA JAPANに期待することは、ありますでしょうか。

高橋様：そうですね、やはり、多くの事例が欲しいですね。今、余郷の方からRPAと申しましたが、CAATsツール（※1）とRPAを絡めた事例の提供ですね。
 
RPAを提供するアプリケーションは数多くありますが、それらとCAATsツール（※1）をどのように連携させるのが望ましいのかといった情報が殆どありません。CAATsツール（※1）とRPAを絡めたらこんなことができるようになったという事例を、今後どんどん提供いただけると非常にありがたいと思っています。

弓塲：分かりました。RPAについては、RPAと似たような言葉でRDAというのがありますが、RPAはRobotic Process Automation、RDA はRobotic Desktop Automationです。RPAの方は、プロセスですから、複数のアプリケーションを一元的に自動化できます。RDAは、１つのソフトの中で自動化できます。CAATsツール（※1）はこのRDAの一種なのですね。
 
ですから、強いてRPAと絡めるのであれば、データの入手の部分になります。つまり、特定のフォルダにデータを入れますよね、そのプロセスを自動化するということです。例えば所定の基幹システムのデータをダウンロードしてフォルダに入れるなどは、RPAの世界になりますね。また、RPAの設定でCAATsツール（※1）を起動して所定のスクリプトを走らせるというところまで行えるのであれば、それはRPAの世界になると思います。ですから、もしRPAと絡める効果があるとするなら、フォルダの中にCAATSツール（※1）で使うソースデータ、これを自動的にセットする部分は、RPAで制御できるということです。

高橋様：では、そこは敢えて分けて構築したほうがスムーズかもしれないという理解でよろしいのでしょうか。

弓塲：そうですね、おっしゃる通りです。といいますのは、CAATsというのはツールだけではなく、シナリオを作って、定型的な処理を走らせて、アウトプットが出て、それを検討するということが必要ですよね。
 
例えば先ほど、毎月サービス残業について懸念者の抽出をされる中で、チューニングされているというお話でしたけれど、そのような部分はやはり自動化はこれからも難しいと思います。ですから、アウトプットを出力するなど自動化できる部分はCAATsツール（※1）で行い、敢えてCAATsツール（※1）を開いてスクリプトを走らせるところまで自動化したいのであれば、その部分はRPAのソフトでできるものもあるかとは思います。そういう論点整理になるかと思います。

高橋様：なるほど、分かりました。先日より社内において、RPAのツールとCAATsツール（※1）の相性を確認し始めたところでしたので、注意して今後進めていきたいと思います。

弓塲：そうですね、監査は判断することが重要になりますから、あまり固執して全自動化ということを考えなくてもよいかもしれません。

余郷様、高橋様：アドバイスありがとうございます。

弓塲：いえいえすみません、恐縮です。本日はすごくいいお話をたくさんお聞かせいただきました。
ありがとうございました。

余郷様、高橋様：ありがとうございました。

※1：株式会社ベルシステム24ホールディングス様は、ACL Analytics（開発元ACL Services Ltd.）を導入されています。

※2：2019年までACLを日本で販売していた株式会社エージーテックのことを指します。